0x00 概述 安天追影小组通过威胁态势感知系统发现了一个DDoS攻击控制事件。从一个控制事件开始进行了一次黑客追踪之旅。经过关联分析找到控制C2的样本，该样本是采用暴风内核的DDoS家族变种，运行后安装.net clr 的服务，释放hra33.dll，进行局域网弱口令的登录感染共享目录，接受黑客控制等待发起DDoS攻击。 通过黑客控制服务器域名，追踪发现小黑客“谭X“ ，其搭建的网站有销售DDoS攻击服务 。另外该样本中暗藏其它黑客的后门，利用云服务器对该木马进行控制。虽然没有进行hacking bac
溯源分析就是在通过现象去发掘恶意攻击者背后的故事，没有固定的套路可循，在分析过程中，要像侦探破案一样，大胆心细，不放过任何细枝末节，是一场人与人之间斗智斗勇的过程。
溯源案例：利用ID从技术论坛追溯邮箱，继续通过邮箱反追踪真实姓名，通过姓名找到相关简历信息
在攻防的视角里，进攻方会占据比较多的主动性，而防守方则略显被动，因为作为防守方，你永远也不知道攻击会在什么时候发生。你所能做的是，做好自己该做的一切，准备好自己该准备的一切，耐心等待对手犯错的机会。
129.226.xxx.xxx在5月30日早上4点43分尝试对192.168.128.4进行SQL注入攻击，目录遍历等攻击行为。窃取数据库信息，网页篡改，远程控制等。
下面是一些Mac OSX下常用的网络诊断命令。它们能帮助我们发现网络问题。文中提到的协议和网络通信原理，可参考协议森林。 有些工具，如arping, arp-scan，需要借助HomeBrew安装。 基本工具 网络诊断的第一步，是了解自己的设备，比如有哪些接口，IP地址都是什么。 ifconfig 显示网络接口(interface)信息。如接口名称，接口类型，接口的IP地址，硬件的MAC地址等。 ARP ARP协议用在局域网(LAN)内部。借用ARP协议，设备可以知道同一局域网内的IP-MAC对应关系。当我
文丨小王斯基 编丨zhuo 计算机技术飞速发展，催生众多经济赛道，彻底改变了民众生活方式，通信交流、购物等更加便利，“数字化”和“智能化”成为不可逆的社会潮流。但“数智化”同样是一把双刃剑，成为许多网络犯罪“野蛮生长”的温床。 网络犯罪顾名思义是指某些团体利用高超的计算机技术，从事违法犯罪活动。这些团体或个人趁着计算机技术迭代的浪潮，不断研发升级各类犯罪工具，优化网络犯罪技术手段，对实体组织、企业，个人，甚至某些国家，展开疯狂的网络攻击。 目前，国内网络犯罪活动非常猖獗，根据中国司法大数据研究院发布的《涉
tracepath 命令用来追踪并显示报文到达目的主机所经过的路由信息，能够发现路由中的 MTU 值。
网卡命名规则受biosdevname和net.ifnames两个参数影响 如果你的网卡名不是eth0怎么设置为eth0呢？
即对攻击的攻击时痕迹收集的一种方式，通过各种参数组成对方习惯的总结，从而推断攻击者本身或者攻击组织（攻击组织的习惯由于经常内部分享可能趋近于一样）
看了国外的几篇针对希拉里邮箱泄露事件的溯源分析，感觉基本上溯源算是失败了。黑了希拉里的人是什么动机？来自哪里？是川普派来的么？是第二次水门事件么？最终，答案都是不知道。 因为这个事情太热了，以至于国外的安全公司不得不跟。但确实也无太多信息可以跟。在整个溯源过程中，大家用的方法却有很多值得借鉴和学习，尤其是未来在追踪APT的过程中可以用到。 黑了希拉里的小伙自称”Guccifer”, 把希拉里的邮件发给了一个政治网站，也发到了wikileaks。如果你只对希拉里的邮件感兴趣，可以直接访问https[:]/
//www.ruijie.com.cn是URL统一资源定位符，而不是域名，www为主机名，上面运行着服务器。
linux网络相关 查看网卡ip //安装包：yum install -y net-tools ifconfig -a：当网卡没有IP的时候不会显示 打开网卡： ifup ens33 关闭网卡： ifdown ens33 关闭网卡后开启网卡（防止远程连接时关闭网卡后没法远程连接） ifdown ens33 && ifup ens33 设定一个虚拟网卡： 进入配置文件的目录：cd /etc/sysconfig/network-scripts/ 复制网卡ens33配置文件：cp if
网络黑灰产涉及黑产和灰产两个方面，黑产中的“黑”主要是指法律明确将此类行为规定为违法犯罪行为。而灰产则与黑产有所不同，是指行为在立法上尚未有明确的规定，游离于违法犯罪的边缘，未构成犯罪的行为，如恶意注册、买卖账号等。
NextTrace为一款轻量化的开源可视化路由跟踪工具，目前支持ICMP、TCP、UDP等多种协议，并通过地址库显示每一跳节点的AS号、归属地情况，并通过路由可视化生成地图路径标注，光是这几样功能可谓对于网络故障定位起到非常大的作用，不排除后续会纳入到各个Linux发行版软件源中。
在今年的攻防期间，通过安全设备告警分析，需要对某个源攻击IP进行溯源反制，并且需要记录整个溯源过程和提交溯源报告。
背景知识 由于依赖感染指标（IOCs）的安全方法越来越不可靠，“突破口假设”成为业界公共的表示方法。这种情况经常发生，直到外部主机发现一个缺口并通知机构之前，入侵都没有办法检测到。 作为基于签名的解决方案和从第三方获取问题信息的替代，网络防御者需要来自于已经进入企业内部的未知敌手的“突破口假设”。 给定越来越多攻击者的目标和个人信息，网络防御者必须在已知IOC的基础上扩大搜索范围，并且在他们的网络中寻找未知的突破口。这个系统追踪未知攻击者的方法被叫做网络攻击追踪。 对攻击者的追踪并非没有难度，一些企业（
以比特币为首的P2P虚拟货币颠覆了人们对货币的认知，也为网上交易提供了新的途径。近几年来，虚拟货币支付以其去中心化、匿名性等特点深受欢迎，活跃在各个领域，涵盖了电商、慈善组织、企业院校等合法机构，当然也包括了一些非法交易。本文将简单谈谈虚拟货币在域名注册上的使用。 一、域名注册的匿名支付需求 域名注册人购买域名大多是为了搭建网站或者个人博客。很多国外的域名注册商不需要客户实名认证，如果使用非匿名注册手段，客户的支付信息（如信用卡）对于注册商依然是透明的。如若注册商的服务器被黑客攻破，用户的信用卡信息就会被窃
📷 1、点击[PING检测] 📷 2、点击[请输入网址] 📷 3、点击[Ping检测] 📷 4、点击[路由器追踪] 📷 5、点击[请输入服务器IP或域名] 📷 6、点击[追踪] 📷
原文地址：http://blog.chinaunix.net/uid-28216282-id-3757849.html
之所以会出现无法在 NAT 的内部网络通过 NAT 服务的外部 IP 地址来访问的情况，是因为如果服务从内部请求，那么经过 DNAT 转换后，将目标 IP 改写成内网 IP，如 192.168.1.3，而发送请求的机器 IP 是 192.168.1.4，数据包被网关 192.168.1.1 顺利的重定向到 192.168.1.3 的服务端口，然后 192.168.1.3 根据请求发送响应给目的 IP 地址，也就是 192.168.1.4，但是，问题出现了，因为 192.168.1.4 请求的地址是外部 IP 假设是 106.54.43.50，所以它等待着 106.54.43.50 的响应，但是由于是局域网，所以路由器不经过封装，直接转发，所以 192.168.1.3 的响应请求被看做是非法的，被丢弃了。这就是问题的所在了，该问题称为 NAT 回流，解决方案在此不再赘述。
众所周知，攻防演练过程中，攻击者千方百计使用各种方法渗透目标。一般情况下攻击链包括：侦察、武器化、交付、利用、安装、命令和控制、窃取目标数据。在溯源中，安全人员对攻击者某个阶段的攻击特点进行分析，再结合已掌握的威胁情报数据将攻击特点和数据聚类，能够有效掌握攻击者的攻击手法和 IP &域名资产等。前文（蓝队的自我修养之事中监控）中讲到了在攻防演练场景下如何从海量的告警日志中获取高度疑似攻击者的 IP，在发现有攻击者之后，快速对其进行精准地溯源反制，收集攻击路径和攻击者身份信息，描绘出完整的攻击者画像。本文中笔者将对溯源的难点、目标以及方法论展开讨论。
编者按 EDUCAUSE分析和研究中心（ECAR）不久前发布了《2017年高等教育十大战略性技术》报告，报告主要描述2017年美国高等院校正在投入的技术，《高等教育十大战略性技术》是对《EDUCAUSE十大IT议题》报告的补充。同时，该报告还提供了一份附录，包含了2017年美国各高校现实中正在规划和执行的新的技术投入，以及它们正在追踪和当前尚未考虑的技术。高等院校可以将这份报告作为一份指南，用于考虑哪些技术可以聚焦关注，哪些可以暂缓，以及哪些可以取得先机。报告包括对十大战略技术的概述、启示、建议等章节，昨天
域名系统（英文：Domain Name System，缩写：DNS）是互联网的一项服务。它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网。DNS使用UDP端口53。当前，对于每一级域名长度的限制是63个字符，域名总长度则不能超过253个字符。
就在这周，我接到 MSE Nacos 用户的反馈，说线上 Nacos 不可用，服务都下线了，日志里面也是一堆报错，我下意识以为线上炸了，赶紧上线排查。本文主要记录这次问题的排查过程，以及解决方案。
关于中国境内用户访问.com 和.net 域名被解析到65.49.2.178 一事我又有新发现，我发现了为什么.cn 和.org 的域名没有受到影响指向65.49.2.178的原因，证明此事事故与根域名服务器无关。 在上一篇文章中，我查到了65.49.2.178这个IP的背景，验证了根域名服务器在中国有镜像，驳斥了各大媒体和维基百科上说“根域名服务器只有13台，亚洲唯一的一台在日本”的说法，猜测这事件是一次来自国内机房的DNS污染事故。 我注意到 国家互联网应急中心的通告提到仅有“.com”、“.ne
今天说点儿概念性的东西，关于linux的dig命令，这个命令主要是用来从DNS域名服务器查询主机的地址信息的。也就是说，针对给定的域名，解析出实际的IP地址，下面我们看看他的输出：
DNS （Domain Name System， 域名系统 ），万维网上作为域名和IP地址相互映射的一个 分布式数据库，能够使用户更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。通过域名，最终得到该域名对应的IP地址的过程叫做域名解析（或主机名解析）。
在wireshark中输入tcp.port eq 2333可以看到跟反弹的ip的通信
网络通信走的一般是五层因特网协议，详见下图。图片来自于https://images2018.cnblogs.com/blog/882926/201711/882926-20171127181032128-471806615.png
nslookup 命令是一种用于查询 DNS（Domain Name System）信息的常用命令。DNS 是互联网中的一种名字解析系统，它将域名转换为 IP 地址。nslookup 命令可以查询域名的 IP 地址、反向查询 IP 地址对应的域名、查询 MX 记录等。
标准互联是一家国人idc主机商，采用微软hyper-v技术为主要虚拟架构，数据中心包括中国香港、洛杉矶和今天分享给大家的贵州电信，目前该机房表现还是不错的，有很多商家都上线该机房产品，修改了基础款配置，更具性价比。 📷 本次主要是针对贵州电信提供了一个25元的2M带宽方案，另外对其它的几个配置，进行了细节调整。商家年付提供免费备案，备多久送多久。另外，目前该机房采用手工白名单政策，请后台提交工单，提供IP、域名、备案号等，管理员审核后添加白名单。 优惠方案 核心：2核CPU内存：512MB
本论文介绍了基于给每个用户分配独特的DNS记录来追踪用户长达一天的新技术，其主要解决了DNS缓存带来的识别问题。该技术可以突破浏览器隐私模式或者多浏览器模式并区分装载不同组件的计算机。
在进行爬虫任务时，使用隧道爬虫ip并采用合适的轮换策略可以提高稳定性和效率。选择合适的隧道爬虫ip轮换策略可以优化您的爬虫请求过程。
这是经典的前端问题，主要是对浏览器的工作原理有个理解！ ---- 网络通信走的一般是五层因特网协议，详见下图。图片来自于https://images2018.cnblogs.com/blog/882926/201711/882926-20171127181032128-471806615.png image.png ---- 大致步骤如下： 1.域名解析 浏览器查找域名的IP地址，这一步包括DNS的具体查找过程，DNS属于应用层协议。客户端会检查本地是否有对应的IP地址，若存在则返回，否则请求上级DNS服
近日，据国内领先的DNS服务提供商114DNS官网微博消息称：新一轮DNS钓鱼攻击已经突破国内安全防线，可能已经导致数百万用户感染。随后，其他安全软件及服务商也通过官方微博对此消息予以了证实，并向广大用户发出了安全风险警告。而相同的DNS攻击，曾在2009年制造了轰动全球的“银行劫持案”，导致巴西最大银行Bandesco银行近1%客户遭到钓鱼攻击。 据悉，DNS即DomainNameSystem的缩写，域名系统以分布式数据库的形式将域名和IP地址相互映射。简单的说，DNS是用
服务器ping不通或者出现丢包等现象可以使用mtr工具来测试网络链路及路由诊断，服务器百科网来说说mtr使用的方法及mtr测试结果数值说明：
Linux网络相关： 如果没有 ifconfig 命令 那么需要安装一个包（yum install net-tools） 如果 ifconfig 命令查看不到网卡的话，那么可以使用 ifconfig
第1章 网络基础 1.1 IP地址分类 IP地址的类别-按IP地址数值范围划分 IP地址的类别-按IP地址用途分类 IP地址的类别-按网络通信方式划分 1.2 局域网上网原理过
0x00 前言 在讲文章主题之前，我们还是习惯性地聊(che)一(che)聊(dan)。 远程控制木马大家都不陌生，尤其是早期接触黑客技术的人，应该可以发现早在2007-2009年，这段时间内，国内的“黑客技术”正是蓬勃发展的时期，那个时候，可谓是“战乱纷争，万马奔腾”的年代，当时流行各种黑客技术，其中就包括远程控制技术。 各种远程控制木马满天飞，无论是最早葛军编写的“灰鸽子”，还是各种后起之秀的RAT，简直不胜枚举，各种被阉割的xxx专用版，各种新出的xxxRAT。如各类国产远控木马、上兴、PCShare
CDN 的全称是(Content Delivery Network)，即内容分发网络。其目的是通过在现有的Internet中增加一层新的CACHE(缓存)层，将网站的内容发布到最接近用户的网络”边缘“的节点，使用户可以就近取得所需的内容，提高用户访问网站的响应速度。从技术上全面解决由于网络带宽小、用户访问量大、网点分布不均等原因，提高用户访问网站的响应速度。
ping、traceroute、mtr这三个都是Linux下查看本机或服务器网络状态等所用的命令，下面一一介绍：
论坛、公告板、新闻组、媒体文章、博客、社交网络、其他商业或非商业性网站、GitHub 等
通过以上的分析我们可以得到，为了实现对普通用户透明(使用缓存后用户客户端无需进行任何设置)访问，需要使用DNS(域名解析)来引导用户来访问Cache服务器，以实现透明的加速服务. 由于用户访问网站的第一步就是域名解析,所以通过修改dns来引导用户访问是最简单有效的方式.
刷新DNS解析缓存 命令：ipconfig /flushdns 用于改完host之后。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
